一、概述

近日，腾讯安全御见威胁情报中心捕获到一起针对某大型数字加密币交易平台客服人员发起的鱼叉式定向攻击。攻击者自称为币圈资深用户，由于对该交易平台客服不满，进而对比了该平台与其竞争关系的xx平台，并列出多条建议在邮件附件中，希望该平台做出改进。

邮件附件中包含了一个名为“客服和xx投诉对比和记录2019.xls”的电子表格文件，该文件为攻击诱饵文件，携带Excel 4.0 XLM宏代码，当接收邮件的客服人员打开该文件，且允许执行其中的宏代码，宏代码将拉取一个伪装为HelloWorld的恶意程序执行，最终经过多层恶意代码解密，执行Cobalt Strike远控后门。

针对数字加密币公司的定向攻击流程

一旦客服人员机器被成功植入木马，攻击者则可以轻易的获取到交易平台内部信息资料，甚至通过该客服机器作为跳板机，入侵交易所内部核心机密数据，最终导致平台遭受不可预估的损失。最坏的情况下，可能导致交易平台数字虚拟币被盗。数字虚拟币大规模被盗的事件在币圈曾频繁发生，每次都会引起数字虚拟币市值的极大波动。

通过攻击目标企业安全意识薄弱职位的相关人员，在APT攻击中往往能取得不错的成效。例如攻击者通常通过对攻击目标客服人员发送咨询/建议邮件，对销售人员发送订单信息/采购邮件，对人力资源人员发送简历信息邮件，对法务人员发送律师函等。腾讯安全团队此前捕获到的：《御点截获针对某大型商贸企业的定向商业APT攻击》，也同样使用了类似的手法。（链接：https://mp.weixin.qq.com/s/kusT8mArumwmuRaiAtdRWA）

攻击邮件示例

攻击文档示例

总结一下本次攻击的特点：

二、技术分析

Excel 4.0恶意宏利用

使用Office2010打开恶意文档，可看到虽然有宏提示，但无法看到宏代码（使用了Excel 4.0宏技术）。表格内容通过提示需点击“启用内容”进一步查看表格详细内容，进而诱导被攻击者启用宏。

诱饵文档极具迷惑性

Microsoft很早就使用VBA宏来代替Excel 4.0宏技术，这导致Excel 4.0宏并不为大众所熟知。文档中右键点击标签页，取消隐藏选择auto后，可看到其Excel 4.0-XLM宏代码，宏内容隐藏在表格中，主要功能为通过将d列表格内容写入文件null.hta，然后通过rundll32执行null.hta。

右键标签页取消隐藏工作表，选中auto

之后可看到表格中隐藏的宏代码

也可使用oletools直接提取宏

下图为整理后的null.hta代码，主要功能为从链接

(hxxp://close.webredirect.org/age.png)处下载图片文件到本地

ProgramData目录下命名为A164C0BF-67AE-3C7E-BC05-BFE24A8CDB62.dat 执行。

伪装自身为HelloWorld的空白main函数恶意程序：

查看下载回的age.png文件，粗略看是一个Main函数为空的HelloWorld程序，攻击者使用该手法来迷惑分析人员误以为其只是一个测试程序。

仔细观察可发现看似是HelloWorld的空白程序，其中包含了一个卸载接口函数，宏代码使用以下.net命令执行该文件中的卸载函数，
C:\Windows\Microsoft.NET\Framework\v2.0.50727\InstallUtil.exe -U C:\Windows\..\ProgramData\A164C0BF-67AE-3C7E-BC05-BFE24A8CDB62.dat

卸载接口中将执行一段PowerShell代码，PowerShell代码使用Base64编码并压缩

解码解压缩后的PowerShell代码如下，主要功能为访问地址

Hxxp://close.webredirect.org/index.png?random，随后将返回一个大小约200k的数据流，在内存中对返回的数据先进行Base64解码，解码后内容的前16字节作为RC4密钥，使用RC4再解密剩余部分数据执行。

进一步查看RC4解密后的PowerShell代码如下，主要功能为释放RAT远控木马，并将其设置持久化。

其中关键变量wlbsctrl，解码后为一个区分x86,x64不同平台的dll模块，Powershell代码通过对释放到本地的wlbsctrl.dll进行持久化操作，而wlbsctrl.dll模块主要功能为调用InstallUntil.exe模块进而执行27F31D55-D6C6-3676-9D42-C40F3A918636.dat中的卸载接口，从而实现间接开机启动执行27F31D55-D6C6-3676-9D42-C40F3A918636.dat中的恶意代码。